Lausuntopalvelu.fi

Tiedonhallintalautakunnan tehtävänä on edistää tiedonhallintalaissa säädettyjen tiedonhallinnan ja tietoturvallisuuden menettelytapojen ja tiedonhallintalain vaatimusten toteuttamista. Tiedonhallintalautakunta ei ole tiedonhallinnan yleisviranomainen, vaan sen tehtävät liittyvät tiedonhallintalakiin. Tiedonhallintalautakunnan asettamat jaostot laativat ja ylläpitävät tiedonhallintalaissa säädettyjen vaatimusten toteuttamista koskevia suosituksia. Tiedonhallintalautakunnan suositukset eivät ole velvoittavia tai sitovia, vaan niissä ohjataan tiedonhallintayksikköjä ja viranomaisia toteuttamaan hyviin käytäntöihin pohjautuen tiedonhallintalaissa säädetyt vaatimukset. Tiedonhallintalautakunta on asettanut tietoturvallisuusjaoston 31.12.2022 saakka.

Julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019) on säädetty tietoturvallisuustoimenpiteisiin liittyviä vastuita julkisen hallinnon tiedonhallintayksiköille ja viranomaisille sekä yksityisille henkilöille ja yhteisöille taikka muille kuin viranomaisena toimiville julkisoikeudellisille yhteisöille, siltä osin kuin ne hoitavat julkista hallintotehtävää. Lisäksi laissa säädetään tietoturvallisuustoimenpiteiden vähimmäistasosta ja tiedonhallintayksikön velvollisuudesta tunnistaa olennaiset tietojenkäsittelyyn kohdistuvat riskit ja mitoittaa tietoturvallisuustoimenpiteet riskiarvioinnin mukaisesti.

Arviointikriteeristön tavoitteena on tukea julkishallinnon tietoturvallisuuden kehittämistä ja arviointia. Sitä voidaan käyttää apuna arvioitaessa tiedonhallintalaissa, turvallisuusluokitteluasetuksessa sekä osin myös tietosuoja-asetuksessa säädettyjen tietoturvallisuutta koskevien vaatimusten täyttymistä.

Kriteerit on ryhmitelty seuraaviin viiteen osa-alueeseen:
* hallinnollinen turvallisuus (HAL),
* fyysinen turvallisuus (FYY),
* tekninen turvallisuus (TEK),
* varautuminen ja jatkuvuudenhallinta (VAR),
* tietosuoja (TSU).

Tiedonhallintalautakunnan tietoturvallisuusjaosto on tehnyt suositusluonnoksen yhteistyössä Tietosuojavaltuutetun toimiston kanssa.

Julkrin käyttö tukee organisaatioita tietoturvallisuuden ja henkilötietojen suojaamisen suunnittelussa, toteuttamisessa ja arvioinnissa. Sitä voi hyödyntää lainmukaisuuden arvioinnissa ja osana tietosuoja-asetuksen mukaista osoitusvelvollisuutta. Tavoitteena on myös, että kriteeristö tukee organisaation riskilähtöistä turvallisuusjohtamista.

Tiedonhallintalautakunnan tietoturvallisuusjaosto pyytää kommentteja ja huomioita liitteenä olevasta suositusluonnoksesta, kriteeristöstä ja siihen liittyvästä työkalusta 19.4.2022 saakka.

Yksilöikää vastauksianne mahdollisuuksien mukaan esimerkiksi kriteerin tunnisteella tai ohjeen sivunumerolla. Jos havaitsette puutteita, voi vastaukseen sisällyttää myös ehdotuksia siitä, miten ko. kriteeriä voisi parantaa.

Kriteeristö on jaettu osa-alueisiin ja toivomme vastaukset kunkin osa-aleen osalta erikseen. Apuna voi käyttää seuraavia kysymyksiä:
Ovatko kriteeristön kriteerit ymmärrettäviä?
Onko kriteerit luokiteltu sopiville tasoille?
Puuttuuko kriteeristöstä tarpeellisia kriteereitä tai voisiko jonkun kriteerin jättää pois?

Suosituksen ja ohjeiden arviointia voi pohtia seuraavien kysymysten avulla:
Onko ohjeistus riittävä ja ymmärrettävä?
Ovatko käyttötapaukset tarkoituksenmukaisia tai puuttuuko joku keskeinen käyttötapaus?
Onko kriteeristön käyttöä tukeva työkalu toimiva ja ymmärrettävä?

Muut kehittämisehdotukset ja ideat?

Suosittelemme lukemaan suositusdokumentin ja kriteeristön työkaluohjeen ensimmäiseksi. 

Lisätietoja antavat tietoturvallisuusjaoston puheenjohtaja Eelis Laine [email protected], sihteeri Tuula Seppo, [email protected].